AWS הכריזה על Amazon ECS Gateway, משאב חדש ברמת החשבון שמרכז ומנהל את שכבת ה-ingress עבור שירותי Amazon ECS. במקום להגדיר לכל שירות בנפרד Load Balancer, תעודות TLS, כללי Listener, קבוצות אבטחה ו-WAF, צוות הפלטפורמה מגדיר Gateway משותף וצוותי האפליקציה מצרפים אליו את השירות באמצעות Gateway Connector.
איך Amazon ECS Gateway עובד?
צוות הפלטפורמה יוצר Gateway ומגדיר עבורו VPC, תתי-רשתות, Security Groups, סוג תעבורה ציבורי או פנימי, Listener, תעודות TLS ואפשרות לשייך Web ACL של AWS WAF. לאחר מכן משייכים את ה-Gateway לאשכולות ECS. צוות האפליקציה מוסיף לשירות פרמטר Gateway Connector, ו-ECS מקים ומנהל את רכיבי הרשת הנדרשים בתוך חשבון הלקוח.
- תעודת ACM ושם DNS ייחודי לכל שירות.
- Listener Rule ו-Target Group לניתוב התעבורה אל השירות.
- Security Group שמאפשר תעבורה נכנסת רק מה-Application Load Balancer.
- ניהול מחזור החיים של ה-ALB והסרת משאבים כשהם אינם נחוצים עוד.
הפרדת אחריות בין פלטפורמה לאפליקציה
הערך המרכזי הוא גבול אחריות ברור. צוות הפלטפורמה קובע סטנדרט אחיד לרשת, TLS ו-WAF; צוות האפליקציה מצהיר איזה שירות צריך ingress ואינו נדרש להכיר את כל פרטי ה-ALB. כך אפשר לצמצם סטיות תצורה בין שירותים ולהאיץ פתיחת endpoint חדש בלי להעתיק תבניות תשתית לכל צוות.
לפי AWS, עד 25 שירותים יכולים לשתף ALB יחיד באמצעות ניתוב מבוסס Host. Gateway אחד יכול להיות משויך לעד 10,000 אשכולות, ואשכול יחיד תומך בעד חמישה Gateways. המבנה מתאים, למשל, להפרדה בין Gateway ציבורי לפרטי או בין סביבות עם מדיניות WAF שונה.
מה קורה בשירות קיים?
AWS מאפשרת אימוץ הדרגתי. אפשר לעדכן שירות ECS קיים ולהוסיף Gateway Connector גם כאשר Load Balancer קיים ממשיך לפעול. שני נתיבי ה-ingress נשארים זמינים בזמן הבדיקה, ורק לאחר אימות אפשר להסיר את התצורה הישנה. בכל Deployment, ECS בוחן מחדש את שיוכי ה-Gateway ומחבר או מנתק את השירות בהתאם לתצורת האשכול.
ארבע נקודות לבדיקה לפני אימוץ
- מגבלות ALB: לבדוק את מספר השירותים, כללי ה-Listener והמכסה המתאימה ל-maxAlbCount.
- התאמת VPC ואזורים: Gateway תואם לשירות רק כאשר הוא באותו VPC ומכסה את אזורי הזמינות של תתי-הרשתות.
- בעלות IAM: להגדיר Infrastructure Role מצומצם שמאפשר ל-ECS ליצור ולנהל את רכיבי הרשת.
- תצפית ועלויות: אין חיוב נוסף על ECS Gateway עצמו, אך ממשיכים לשלם עבור ALB, WAF, תעבורה ושאר המשאבים שנוצרים.
השורה התחתונה
Amazon ECS Gateway אינו מחליף את ALB אלא הופך את ניהולו לשירות פלטפורמה משותף. עבור ארגונים עם עשרות שירותי ECS, הוא מציע דרך לצמצם שכפול, לאכוף מדיניות ingress עקבית ולתת לצוותי פיתוח endpoint מוכן בלי לנהל כל רכיב רשת בנפרד.
מקור
קרדיט תמונה: Brett Sayles / Pexels. מקור: Pexels, ברישיון Pexels Free.
